Instruktor: W tej
lekcji porozmawiamy o serwerach AAA, co oznacza uwierzytelnianie,
autoryzację i księgowanie, a aby zrozumieć serwery AAA, pierwszą
rzeczą, którą musimy zrobić, jest zrozumienie, w jaki sposób
802. 1X działa jako framework.
Instruktor: 802. 1X to ustandaryzowana struktura używana
do uwierzytelniania opartego na portach zarówno
w sieciach przewodowych, jak i bezprzewodowych.
Teraz, od 802. 1X to tylko framework, w rzeczywistości
będzie wykorzystywał inne mechanizmy do
rzeczywistego uwierzytelniania.
Na przykład, zarówno
usługa Remote Authentication Dial-In User Service, znana
jako RADIUS, jak i Terminal
Access Controller Access-Control System
Plus lub TACACS+, mogą być wykorzystywane do przeprowadzania uwierzytelniania
przy użyciu standardu 802.
Protokół 1X.
Istnieją trzy role, które są wymagane do
uwierzytelnienia w standardzie 802. 1X.
Pierwszym z nich jest suplikant, czyli urządzenie
lub użytkownik żądający dostępu
do sieci, taki jak PC1 na tym obrazku.
Następnie jest uwierzytelniacz, który jest urządzeniem,
za pośrednictwem którego suplikant próbuje
uzyskać dostęp do sieci.
Zwykle będzie to coś w rodzaju przełącznika,
bezprzewodowego punktu dostępowego lub koncentratora VPN.
Wreszcie, istnieje serwer uwierzytelniania,
który będzie scentralizowanym
urządzeniem wykonującym uwierzytelnianie,
którym zwykle będzie serwer RADIUS
lub TACACS+.
Uwierzytelnianie ma miejsce, gdy tożsamość osoby
jest ustalana na podstawie dowodu i potwierdzana przez system.
Robisz to każdego dnia.
W rzeczywistości zrobiłeś to, logując się do tego kursu.
Wprowadzając swój adres e-mail i hasło, twierdziłeś,
że jesteś studentem, który zapłacił za
ten kurs, a robiąc to, jesteś sprawdzany przez
system i otrzymujesz dostęp.
Istnieją różne sposoby uwierzytelniania tożsamości.
W prawdziwym świecie, na przykład, jeśli zostaniesz zatrzymany
za przekroczenie prędkości przez funkcjonariusza
policji, możesz wyciągnąć prawo jazdy
i pokazać mu, że to ty i że jesteś tym, za kogo
się podajesz.
To jest twój dowód.
Obecnie w świecie cyfrowym
mamy pięć metod uwierzytelniania.
Mamy coś, co wiesz, co byłoby czymś
w rodzaju hasła lub nazwy użytkownika, mamy
coś, czym jesteś, co byłoby czymś w rodzaju
odcisku palca, skanu oka lub siatkówki, mamy coś, co masz, co byłoby
czymś w rodzaju tokena, prawa jazdy
lub karty kredytowej, może to być coś, co robisz, czyli sposób,
w jaki mówisz lub sposób, w jaki podpisujesz
swoje imię i nazwisko, i może to być miejsce, w którym
się znajdujesz, które znamy jako czynnik lokalizacji
na podstawie lokalizacji GPS.
LDAP to protokół lekkiego dostępu do katalogów.
Jest to baza danych, która służy do centralizacji
informacji o klientach i obiektach w sieci.
LDAP jest zasadniczo uproszczoną wersją X. 500, która jest usługą
katalogową i zawiera
hierarchiczną organizację użytkowników,
grup, serwerów i systemów w sieci.
LDAP komunikuje się przez port 389, gdy
robi to bez szyfrowania, a jeśli zdecydujesz
się zaszyfrować go za pomocą SSL lub TLS, użyje portu 636.
Podczas gdy LDAP jest uważany za wieloplatformowy,
Microsoft stworzył własną implementację tego
protokołu, znaną jako AD lub Active Directory.
W domenie Windows Active Directory służy do
organizowania i zarządzania wszystkim w sieci,
w tym klientami, serwerami, urządzeniami,
użytkownikami i grupami.
Teraz usługa Active Directory może być również
używana jako część zasad bezpieczeństwa lub kontroli dostępu za
pośrednictwem zasad grupy.
RADIUS to usługa Remote Authentication Dial-In User Service.
Zapewnia scentralizowaną administrację uwierzytelnianiem dial-up,
VPN i bezprzewodowym, dzięki czemu
można go używać zarówno z 802. 1X i Extensible
Authentication Protocol (EAP).
RADIUS jest protokołem klient-serwer, który
działa w siódmej warstwie modelu OSI,
warstwie aplikacji.
RADIUS jest zwykle skonfigurowany do uruchamiania na oddzielnym serwerze,
ale może być również ładowany na serwerze Windows w mniejszych
środowiskach domenowych.
RADIUS służy do uwierzytelniania użytkowników,
autoryzowania ich do usług i
rozliczania korzystania z tych usług.
RADIUS wykorzystuje również UDP do nawiązywania połączeń, dzięki
czemu jest dość szybki podczas
wykonywania funkcji uwierzytelniania i autoryzacji.
Podczas gdy RADIUS jest standardem wieloplatformowym,
istnieje zastrzeżony protokół firmy Cisco o nazwie TACACS+.
Jest to system kontroli dostępu Terminal
Access Controller Plus, który może pełnić rolę urządzenia uwierzytelniającego
w sieci 802. Sieć 1X.
Teraz do Ciebie należy określenie, która z nich jest najlepsza
dla potrzeb Twojej organizacji.
Osobiście używam RADIUS prawie wyłącznie
w moich organizacjach.
Odkryłem, że TACACS+ działa nieco wolniej, ponieważ
opiera się na protokole TCP zamiast UDP,
ale TACACS+ ma pewne zalety.
Zapewnia dodatkowe bezpieczeństwo
i niezależnie przeprowadza procesy uwierzytelniania,
autoryzacji i księgowania.
TACACS+ obsługuje wszystkie protokoły sieciowe,
ale RADIUS, z drugiej strony,
nie obsługuje protokołu zdalnego dostępu,
protokołu NetBIOS Frame, X. 25 połączeń kołkowych i kilka
innych.
Ogólnie rzecz biorąc, TACACS+ jest doskonałym wyborem, ale
tylko wtedy, gdy zamierzasz używać urządzeń
Cisco w swojej sieci, ponieważ
jeśli chcesz mieć tę możliwość międzyplatformową, będziesz
musiał przejść na RADIUS, sposób,
który wybrałem w przeszłości.
Drugie A to autoryzacja.
Autoryzacja ma miejsce, gdy użytkownik otrzymuje
dostęp do określonych danych lub określonych obszarów budynku.
Czy kiedykolwiek wszedłeś do budynku i zobaczyłeś
tabliczkę z informacją o ograniczonym dostępie, tylko autoryzowany personel?
Oznacza to, że nie możesz wejść na ten obszar.
Może to być coś w rodzaju pomieszczenia serwisowego
lub miejsca, w którym znajdują się generatory
i tylko mechanicy mogą się tam dostać.
Mają oni specjalne klucze lub odznaki, które
pozwalają im wejść do tych obszarów.
Ten obszar jest miejscem, do którego nie masz prawa się udać.
Kerberos koncentruje się na uwierzytelnianiu i autoryzacji.
Odbywa się to za pośrednictwem naszego systemu zgłoszeń
Kerberos w domenie Windows.
Kerberos to protokół uwierzytelniania, który zapewnia
uwierzytelnianie dwukierunkowe lub wzajemne.
Gdy użytkownik loguje się do domeny,
najpierw kontaktuje się z kontrolerem
domeny, który działa jako centrum dystrybucji kluczy (KDC).
To KDC ma dwie podstawowe funkcje, uwierzytelnianie
i przyznawanie biletów.
Jeśli więc klient zostanie prawidłowo
uwierzytelniony, KDC wyda mu TGT, który
nazywa się Ticket Granting Ticket.
Ten Ticket Granting Ticket jest następnie dostarczany
do kontrolera domeny za każdym razem, gdy użytkownik chce
uzyskać dostęp do zasobu, a następnie
kontroler domeny może dostarczyć temu użytkownikowi bilet
usługi lub klucz sesji do użycia, w zależności od tego, który z
nich jest odpowiedni dla jego potrzeb.
Bilety te są przedstawiane zasobowi,
a dostęp jest następnie przyznawany,
ponieważ zasób zawsze ufa kontrolerom
domeny dostarczonym biletom.
Teraz, ponieważ Kerberos polega na kontrolerze
domeny, który służy jako centrum dystrybucji
kluczy, jest to pojedynczy punkt awarii w domenie.
Jeśli kontroler domeny jest wyłączony,
usługi przyznawania biletów są również zamykane.
Aby jednak temu zapobiec, większość osób korzysta
z podstawowego i dodatkowego aktywnego kontrolera domeny.
Zapewni to redundancję, aby
upewnić się, że Kerberos działa, a LDAP nadal działa.
Trzecie A to księgowość.
Księgowość zapewnia śledzenie danych,
wykorzystania komputera i zasobów sieciowych.
Gdy to zrobimy, zwykle jest to zapisywane
w czymś, co nazywa się plikiem dziennika.
Jest to plik na komputerze,
który jest zasadniczo tylko dużym dokumentem
tekstowym i śledzi różne rzeczy.
Mogą to być wszystkie połączenia internetowe,
które opuszczają sieć, jak pokazano tutaj na ekranie, lub
może to być lista wszystkich osób, które próbowały
zalogować się do określonego pliku lub strony internetowej.
Na komputerze przechowywane są różnego rodzaju
dzienniki, aby śledzić wszystkie
wykonywane czynności, a wszystko to
ma na celu zapewnienie stosowania dobrych praktyk księgowych,
ponieważ w przypadku naruszenia danych
lub zagrożenia wewnętrznego można cofnąć
się i spojrzeć na dane w plikach dziennika, aby dowiedzieć
się, kto co zrobił i kiedy.
To właśnie umożliwia księgowość.
Teraz, jeśli masz dowód, że ktoś coś zrobił,
że podjął działanie, nazywamy to niezaprzeczalnością.
Niezaprzeczalność oznacza po prostu, że użytkownik nie może powiedzieć,
że nie wykonał danej czynności, ponieważ masz dowód, że to zrobił.
Na przykład, jeśli wysłałeś do mnie wiadomość
e-mail i podpisałeś ją podpisem cyfrowym,
jesteś jedyną osobą na całym świecie, która posiada
ten prywatny klucz podpisu cyfrowego.
Wiem na pewno, że wysłałeś tego e-maila.
Nie możesz mi później powiedzieć, że go nie
wysłałeś, bo teraz mam na to dowód.
To jest niezaprzeczalność.